Всё о VPN на Keenetic: создание, настройка, подключение

Этот текст посвящен технологии VPN и ее использованию на роутерах ZyXEL Keetenic, например, для доступа к корпоративным частным сетям. Не путайте ее с получением доступа к незаконной информации!

Приветствую всех! На других сайтах я нашел много недостоверной информации по этой теме, поэтому я решил подготовить свою собственную инструкцию. Даже на официальной странице поддержки Keenetic не были описаны некоторые важные моменты, что может привести к вопросу: «Почему у меня не работает?!». Сегодня я поделюсь с вами, как правильно настроить VPN-сервер на роутере ZyXEL Keenetic, а также как подключиться к нему с различных устройств.

Если вам не нужно настраивать VPN-сервер, а хотите присоединиться к общедоступному, то вы можете просто перейти к разделу «ШАГ 4» — подраздел «Роутер ZyXEL Keenetic». Там я разместил ссылку на бесплатные общедоступные VPN-серверы.

Если же вам нужно настроить собственный сервер и подключиться к нему, то в моем руководстве описаны 3 способа подключения: PPTP, L2TP/IPSec и WireGuard. Первые два настраиваются довольно просто, и подключение может быть выполнено непосредственно с устройств Windows, Android, iOS или с любого роутера (например, TP-Link, ASUS, D-Link и т. д.).

WireGuard (Keenetic VPN) теперь настраивается исключительно на новых маршрутизаторах. Для этого вам понадобится два роутера с последней версией прошивки. Выбор остается за вами. На самом деле настройка довольно проста, но есть некоторые тонкости, о которых я подробно рассказал в своей статье. Возможны некоторые трудности с WireGuard, поэтому я постарался описать процесс шаг за шагом с иллюстрациями и пояснениями. Не спешите, внимательно изучите информацию. В любом случае, вы всегда можете обратиться ко мне в комментариях. Начинаем!

Содержание

ШАГ 1: Вход в настройки роутера

Прежде всего, необходимо подключиться к локальной сети маршрутизатора – это возможно сделать двумя способами:

Подключиться посредством кабеля к локальному порту.
Использовать Wi-Fi.

После этого открываем веб-браузер и вводим один из указанных адресов в адресной строке:

ШАГ 2: Включение DDNS

Наша стратегия довольно проста. Наш Keenetic роутер будет работать в качестве VPN сервера. Важно, какой именно тип сервера мы будем настраивать – будь то PPTP, IPSec или новый WireGuard. Главное, что нам нужно иметь доступ к этому роутеру извне – то есть из интернета. У роутера есть внешний IP адрес. Конечно, мы можем использовать его. Однако, как правило, современные провайдеры по умолчанию предоставляют два типа адресов:

Белый динамический
Серый

Для того, чтобы обеспечить доступ к VPN-серверу, ваш интернет-провайдер должен предоставить вам белый IP-адрес. В противном случае, доступ будет ограничен. В данной инструкции вы сможете узнать различия между белыми и серыми IP-адресами, а также узнать, какой адрес используете вы. На некоторых новых версиях прошивок также есть возможность использовать серые IP-адреса, при наличии KeenDNS (облачный DDNS сервис, который работает напрямую или через облако, и поэтому подходит для использования даже с серыми IP).

В любом случае, первым шагом является подключение службы DDNS, если ваш IP-адрес не является статическим.

Новая прошивка

Прежде всего, необходимо настроить DDNS, в этом случае можно воспользоваться стандартным и бесплатным сервисом KeenDNS от Keenetic. Для этого переходим в раздел «Доменное имя» и вводим желаемое наименование, которое будет использоваться для подключения. Затем нажимаем «Зарегистрировать».

В случае, если имя свободно, роутер уведомит об этом и предложит 3 поддоменных имени. Вы можете выбрать любое из них.

Если ваш IP-адрес серый, то вам следует зайти в раздел «Общие настройки» и включить опцию «Keenetic Cloud».
Появится окно, подождите, пока маршрутизатор получит SSL-сертификаты. После этого вам нужно выбрать режим работы:
1. Через облако — если ваш IP-адрес серый.
2. Прямой доступ — если IP-адрес белый.

Старая прошивка

Конечно, если у вас есть внешний IP адрес, то все понятно, но что делать, если он не постоянный или внутренний. Я понимаю, что это может быть разочарование для пользователей с внутренними IP адресами, и здесь ничего не поделаешь, кроме как искать провайдера с внешним IP. Второй вариант – это приобрести новый роутер Keenetic, который имеет облачный сервис KeenDNS – он позволит установить соединение даже при использовании внутреннего IP. Для тех, у кого есть внешний IP, в любом случае нужно настроить DDNS, так как скорее всего у вас он, конечно, же внешний, но изменяющийся, и поэтому, когда он изменится, соединение просто оборвется.

Если вы хотите настроить DDNS в разделе «Интернет», то сначала перейдите в раздел «DDNS» и ознакомьтесь со списком «Используемых серверов». По умолчанию установлены сервера Dyn, No-Ip и DNS-Master – это все внешние сервисы. Чтобы настроить DDNS, вам необходимо зарегистрироваться на официальных сайтах этих сервисов и создать соответствующую запись. После этого вернитесь в раздел «Интернет» и введите свои данные DDNS.

ШАГ 3: Настройка сервера

Пожалуйста, выберите один из вариантов подключения. Не забудьте, что для использования WireGuard необходимо иметь два роутера Кинетик с последней версией прошивки.

VPN PPTP

Когда вы используете подключение через протокол PPTP, ваш трафик автоматически шифруется при помощи технологии MPPE (Microsoft Point-to-Point Encryption).

Новая прошивка

Для начала необходимо установить компонент VPN-сервера. Для этого переходим в раздел «Общие настройки», затем выбираем «Обновления и компоненты» и кликаем на кнопку «Изменить набор компонентов», после чего устанавливаем компонент «PPTP VPN-сервер».
Затем переходим в раздел «Приложения» и активируем наш сервер.
Откроются настройки. Давайте рассмотрим их пошагово:
1. Множественный вход – это когда один и тот же логин и пароль используют несколько клиентов. Это может быть не безопасно, но очень удобно.
2. Только шифрование – не убираем эту опцию, иначе канал связи не будет зашифрован и данные могут быть перехвачены.
3. NAT для клиентов – это позволяет клиентам использовать интернет.
4. Доступ к сети – выбираем «Домашняя сеть», так как именно к этой сети мы будем иметь доступ.
Исходный IP-адрес представляет собой первичный набор адресов для клиентов. Важно, чтобы адреса клиентов и адреса ваших локальных машин не пересекались, поэтому будет лучше установить другие настройки IP.
Пул IP-адресов – максимальное количество 10.
Пользователи – здесь вы можете использовать одного пользователя или создать несколько учетных записей.

Старая прошивка версии NDMS 2.11 и меньше

С появлением версии операционной системы NDMS V2.04.B2 появилась возможность настройки VPN сервера. Также стало возможным подключение до 10 клиентов к одному серверу по PPTP.

Прежде всего, нужно убедиться в наличии установленного компонента VPN-сервера. Для этого перейдите на главную страницу и нажмите на ссылку «Доступно» в разделе «Обновления».

Либо можно зайти в меню «Система», выбрать вкладку «Обновление» и затем нажать на «Показать компоненты».

Отыщите сервер VPN и выделите его.

Следующим шагом будет нажать на кнопку «Обновить».

Для начала перейдите в раздел «Приложения» и откройте вкладку «Сервер VPN». Если такой вкладки нет, значит вы не установили соответствующий компонент. Включите сервер и установите опцию «Одно подключение на пользователя». В поле «Доступ к сети» укажите название вашей локальной сети роутера, по умолчанию оно равно «Домашняя сеть». Далее укажите начальный адрес пула – это диапазон IP-адресов, которые будут выдаваться клиентам, подключенным к серверу. Необходимо разделить разрешенный пул для домашней сети и пул адресов VPN-сервера. Можно использовать одну подсеть, но разные пулы. Например, для домашней сети пул будет от 192.168.1.50 до 192.168.1.70, а для VPN-сервера укажите начальный адрес 192.168.1.200. Или, как в моем случае, просто укажите другой начальный адрес пула – 172.16.1.33. После этого укажите размер пула – так как максимальное число клиентов равно 10, больше указывать не стоит. Для повышения безопасности можно указать меньшее число клиентов. Опция «Транслировать адреса клиентов (NAT)» необходима для возможности выхода клиентов VPN-сервера в интернет через роутер. Если вы хотите ограничить доступ только к локальной сети, снимите эту опцию.

Для большего удобства мы будем использовать учетную запись администратора, нажмите на неё.
Как можно заметить, в строке «Доступ разрешен» установлено значение «Нет» – это означает, что данный пользователь не может использоваться для подключения к VPN. Давайте исправим это – кликнем по данной учетной записи и поставим галочку «Разрешить доступ к VPN».

Вы можете использовать учетную запись администратора для нескольких подключений. Однако, если вам нужно иметь несколько пользователей (в целях безопасности), то перейдите в раздел «Система» — «Пользователи» и нажмите кнопку «Добавить».

Необходимо указать данные для входа: логин, пароль клиента, и убедитесь в наличии доступа к «VPN-серверу».

VPN-сервер L2TP/IPsec

Для установки компонента перейдите: «Общие настройки» – «Обновления и компоненты» – «Изменить набор компонентов». Найдите компонент «L2TP/IPsec VPN-сервер», поставьте галочку и установите его, если он не установлен.
Включите наш VPN в приложениях.

Теперь введите данные:

Укажите любой ключ для общего ключа IPsec.
Активируйте множественный вход, чтобы использовать одну учетную запись на разных компьютерах.
Включите NAT для клиента, чтобы подключенные клиенты имели доступ к интернету в этой сети.
Укажите доступ к сети как «Домашняя сеть».

Исходный IP-адрес — это адреса внутренней сети, которые будут назначены клиентам VPN. Они не должны повторяться с уже зарезервированными адресами в вашей сети. Поэтому рекомендуется указать другой диапазон частных адресов.

Диапазон IP-адресов — максимальное количество поддерживаемых клиентов 10.

Новых пользователей можно добавить в разделе «Пользователь», которые смогут подключаться к VPN. Для проверки работы системы можно использовать учетные данные администратора (admin).

VPN WireGuard

Версия KeeneticOS 3.3 добавила поддержку WireGuard, который работает только с новой прошивкой. Аналогично этот функционал доступен только для соединения двух роутеров Keenetic. Мы также можем называть это подключение «Site-To-Site VPN». Если у одного из роутеров есть белый IP, то лучше использовать его в качестве сервера. По сути, мы объединим две сети в одну виртуальную локальную сеть.

Еще один важный момент — настройки осуществляются одновременно на двух роутерах. Поэтому Web-интерфейс должен быть доступен сразу. Например, настройку «Сервера» можно провести с компьютера, а «Клиента» с телефона. Но не страшно, если вам придется настраивать туннель между роутерами, находящимися в разных местах мира.

Откройте раздел «Общие настройки» — «Обновления и компоненты» — кликните «Изменить набор компонентов» и установите наш компонент.
Переходим в раздел «Другие подключения», затем выбираем «WireGuard» и нажимаем на кнопку добавления.
В поле «название» необходимо указать английское название. Например, я укажу «WG-S» (Сервер) в одном поле и «WG-CL1» (Клиент) в другом. Оба поля должны быть открыты.
После этого нажимаем кнопку «Генерация пары ключей».

В поле «Адрес» необходимо указать IP-адрес туннеля с маской, которая может быть выбрана из любого пула частного диапазона:

10.0.0.0 – 10.255.255.255 (маска 255.0.0.0 или /8) 172.16.0.0 – 172.31.255.255 (маска 255.240.0.0 или /12) 192.168.0.0 – 192.168.255.255 (маска 255.255.0.0 или /16) 100.64.0.0 – 100.127.255.255 (маска 255.192.0.0 или /10)

Другими словами, частные адреса — это адреса, которые используются только в локальной сети и не доступны в Интернете. В качестве примера, можно использовать 172.16.82.1/24. Также необходимо указать порт 16632, который будет использоваться для подключения клиента к серверу. Роутер автоматически откроет этот порт, поэтому не требуется его пробрасывать. Нажмите кнопку «Добавить».

Открываем вкладку сетевого роутера (WG-CL1) и создаем новое подключение, указываем название «WG-CL1». Затем нажимаем кнопку «Сгенерировать пару ключей» и сохраняем открытый ключ в буфер обмена.
Возвращаемся в настройки сервера, открывается окно «Настройка пира», где мы вводим следующие данные (Не закрывая настройки клиентского роутера):
1. Имя пира – указываем точное наименование, которое использовали при настройке клиента.
2. Публичный ключ – вставляем из буфера обмена тот открытый ключ, который мы получили от клиента. Если настройка роутеров происходит в разных местах, то ключ можно передать по электронной почте или с помощью мессенджера.
Необходимо указать допустимые подсети, которые будут использоваться нашим клиентом. Это означает, что мы должны внести адреса, которым будет разрешен доступ к серверу. Например, мы указали адрес туннеля 172.16.82.1 на сервере. Затем на клиенте мы укажем адрес 172.16.82.2, поэтому здесь мы также его укажем. Также мы укажем маску /32. И не забудем указать пул локальных адресов клиента – 192.168.100.0/24.
Установим проверку активности на 15 секунд.

Нам предстоит выполнить еще один шаг – настройка «Межсетевого экрана». Для этого перейдем в соответствующий раздел. Затем откроем вкладку нашего подключения и добавим необходимое правило, чтобы обеспечить доступ клиента и сервера извне.

Следует установить настройки, аналогичные представленным на изображении ниже, просто разрешив все пункты.

Необходимо настроить статический маршрут для нашего туннеля — «Маршрутизация» — «Добавить маршрут»:
1. Тип маршрута — маршрут до сети.
2. Адрес сети назначения — укажите пул клиентского роутера.
3. Маска подсети — 255.255.255.0
4. Интерфейс — укажите наше созданное подключение WG-S.
1. Вернитесь к нашему ранее созданному подключению и нажмите на кнопку, чтобы сохранить ключ, который необходимо будет ввести в настройки роутера клиента.
1. Открываем вкладку настроек клиентского маршрутизатора, указываем название. В разделе адреса вводим адрес туннеля. На серверной машине мы указали 172.16.82.1, здесь указываем 172.16.82.2. И не забываем добавить /24. Добавляем пира.
1. Теперь настраиваем наш пир следующим образом:
  1. Укажите имя пира точно такое, как на сервере.
  2. Вставьте публичный ключ, который вы получили от сервера.
  3. Укажите адрес и порт пира – внешний IP или DDNS, который вы создали ранее. Я использую KeenDNS. После этого добавьте двоеточие и укажите порт, который используется на сервере. Например: keenetic.link:16632
  4. Укажите разрешенные подсети – подсеть туннеля сервера 172.16.82.1/32. Также не забудьте указать пул адресов локальных машин сервера. У меня это 192.168.22.0/24.
  5. Также установите проверку активности на 15.
1. Настало время настройки межсетевого экрана. Давайте добавим новое правило.
1. Здесь предусмотрены те же настройки, что и на сервере.
1. Нам нужно добавить статический маршрут на сервере. Все настройки остаются такими же, за исключением:
  1. Мы указываем начальный адрес пула локальных устройств сервера в качестве адреса сети назначения.
  2. В качестве интерфейса указываем WG-CL1, через который мы подключаемся к туннелю.
1. При правильном выполнении всех шагов на вкладке «Wireguard» на обоих устройствах в разделе «Пиры» должен появиться зеленый кружок с названием второго маршрутизатора.
ШАГ 4: Подключение к VPN
Роутер ZyXEL Keenetic
Обратите внимание! Если вы не настраивали VPN-сервер и хотите подключиться к общедоступному, вы можете попробовать бесплатный VPN от Японского университета – подробнее об этом можно узнать здесь. Там также есть файл конфигурации с настройками.
Убедитесь, что у вас установлен компонент «IPsec VPN», если вы настраивали подключение L2TP/IPSec. Если вы настраивали PPTP, то ничего делать не нужно, поскольку этот компонент уже установлен по умолчанию.
Откройте раздел «Другие подключения» – «VPN-подключения», кликните «Добавить подключение». Теперь введите настройки:
- Название подключения – выберите произвольное название.
- Протокол – PPTP.
- Сервер – используйте наш DDNS или ваш статический IP.
- Логин и пароль – введите учетные данные для подключения к VPN.
- Если используется L2TP/IPsec, укажите также секретный ключ, который был создан.
После ввода всех настроек сохраните их и не забудьте включить само подключение.
Windows
Возникает небольшая затруднение с тем, что устройство Keenetic использует метод шифрования MPPE с 40-битным ключом, что обусловлено законодательством РФ, Беларуси и Казахстана. Однако в операционной системе Windows используется 128-битный ключ. При попытке настройки подключения в данный момент оно не установится. Тем не менее, у нас есть два варианта решения проблемы. Первый вариант предполагает изменение некоторых параметров в роутере, а второй — изменение конфигурации в Windows.
ВНИМАНИЕ! Пожалуйста, выберите только один из предложенных вариантов.
Процедура изменения параметров роутера
1. Для начала необходимо включить Telnet на компьютере под управлением Windows — для этого пройдите в раздел «Панель управления». В Windows 10 нажмите на кнопки «Win» и «R», после чего введите следующую команду:
1. «Разработка программных продуктов и их составляющие».
1. Процедура активации и деактивации элементов операционной системы Windows.
1. Запускаем программу «Telnet Client».
1. Для запуска командной строки можно воспользоваться поиском.
1. Необходимо набрать команду для доступа к настройкам роутера.
2. Затем потребуется ввести пароль от административной панели роутера.
Настройка системы vpn-server mppe 128 сохранить и выйти
Изменение настроек в Windows
1. Открываем редактор реестра – нажимаем клавиши «Win» и «R», затем вводим команду:
2. Копируем следующий путь:
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRasmanParameters
1. Вставляем путь в верхнюю строку или находим его в реестре.
2. Находим параметр «AllowPPTPWeakCrypto», открываем его и изменяем значение на 1.
3. Нажимаем «ОК».
4. Перезагружаем компьютер.
Давайте рассмотрим процесс подключения.
Windows 10
1. Откройте меню «Пуск» и выберите «Параметры».
2. Перейдите в раздел «Сеть и Интернет».
3. В разделе «VPN» нажмите на кнопку с изображением плюса.
1. Заполните следующие данные:
  1. Наименование подключения – введите уникальное наименование, которое будет отображаться только на вашем компьютере.
  2. Серверное имя или адрес – укажите наш DDNS или IP адрес.
  3. Тип VPN – выберите «PPTP» или «L2TP/IPsec с общим ключом».
  4. Общий ключ (только для L2TP/IPsec) – введите соответствующий ключ.
  5. Тип аутентификации – выберите «Имя пользователя и пароль».
  6. Ниже введите логин и пароль от учетной записи, которую вы создали на роутере. Вы можете использовать логин admin для проверки.
1. Кликаем по кнопке «Сохранить». После этого жмем на «Подключиться».
Windows 7
1. Для того чтобы войти в центр управления, нужно кликнуть правой кнопкой мыши по подключению.
2. Затем необходимо выбрать «Настроить новое подключение…»
1. Для присоединения к рабочему месту необходимо установить настройку «Нет, создать новое подключение». Далее выбираем «Использовать мое подключение к Интернету (VPN)». Сначала необходимо ввести адрес роутера с VPN-сервера – это может быть DDNS или внешний IP. Имя можно указать любое.
1. Необходимо ввести логин и пароль. Отметьте галочку «Запомнить этот пароль», чтобы не приходилось его постоянно вводить.
1. Для ускорения подключения необходимо установить тип PPTP. Если этого не сделать, то процесс подключения займет много времени, так как операционная система будет перебирать все возможные варианты. Чтобы настроить подключение, нажмите клавиши Win + R и введите команду:
1. Нажимаем правую кнопку мыши на нашем соединении и выбираем «Свойства».
1. Выберите PPTP или IPSec в разделе «Безопасность» для настройки VPN в зависимости от типа созданного вами сервера в интернет-центре.
1. В этом месте переходите в раздел «Сеть» и выбрав протокол TCPv4, переходите в «Свойства» — «Дополнительно» — снимаете галочку сверху.
Android
1. Раздел «Настройки».
2. Переходите по следующим пунктам: «Сеть и интернет» – «Дополнительно» – «VPN».
1. Создаем новый профиль.
  1. Укажите название профиля.
  2. Выберите тип соединения: PPTP или L2TP/IPSec PSK.
  3. Введите IP-адрес сервера или DDNS.
  4. Укажите общий ключ IPsec.
  5. Введите имя пользователя и пароль внизу.
iOS
1. Откройте раздел «Настройки», затем выберите «Основные» и нажмите на «Добавить конфигурацию VPN».
1. Заполните следующие поля:
  1. Выберите тип – L2TP или PPTP.
  2. Название – введите произвольное название.
  3. Сервер – укажите DDNS или IP вашего роутера.
  4. Логин – ваша учетная запись.
  5. Пароль – ваш пароль.
  6. Общий ключ – необходим только для IPSec.